Arnaud Legout a rnaud.legout@inria.fr

1. Risques d'atteinte à la vie privée sur Internet, ou qu'est-ce que votre voisin peut savoir sur vous ? Arnaud Legout arnaud.legout@inria.fr

2. Définition d’atteinte à la vie privée • Il y a atteinte à la vie privée lorsque • Rendre anonyme c’est casser ce lien Uneactivité est liées à une identité

3. Définition d’activité • C’est ce qui caractérise le comportement • Historique Web • Toute votre vie: problèmes de santé, problèmes d’argent, problèmes familiaux, déprime, etc. • Historique téléchargement pair-à-pair • Communications • Voix sur IP (Skype, Windows Messenger, etc.), mails, etc. • Localisation (GPS, Wifi, IP, MAC, etc.) • Ça n’est pas que où vous êtes, mais aussi qui vous rencontrez • Etc.

4. Définition d’identité • Identité réseau • L’adresse IP dans Internet • Permet de faire du profilage • Identitéapplicative • Spécifique à une application • Temporaire (cookie) ou permanente (identifiant skype) • Permet des attaques sur des applications • Utile pour résoudre le problème des passerelles ou des adresses IP dynamiques

5. Définition d’identité • Identité sociale • Tout ce qui permet une identification dans la vraie vie • Nom, adresse postale, email, numéro INSEE, etc. • Permet des attaques sophistiquées et sévères • Chantage, phishingpersonnalisé, etc. La sévérité augmente avec le nombre d’identités

6. Plan • Définition d’atteinte à la vie privée • Quels risques aujourd’hui ? • Les grandes sociétés d’Internet • Votre voisin • Jusqu’où peut-on aller ?

7. Les grandes sociétés d’Internet

8. Données publiées avec consentement • Énormément de données publiées • Publication sur Facebook, mail sur Gmail, tweet sur Tweeter, etc. • Quelle confidentialité pour ces données ? • Les internautes acceptent les « conditions d’utilisation » et « Politique de Confidentialité » • Mais, personne ne les lit • Contradictoires et ne protègent pas la vie privée

9. Politique de protection de la vie privée de Google « Nous ne communiquons des données personnelles vous concernant à des entreprises, des organisations ou des personnes tierces qu’avec votre consentement. Nous demandons toujours votre autorisation avant de communiquer à des tiers des données personnelles sensibles. » « Nous ne partagerons des données personnelles avec des entreprises, des organisations ou des personnes tierces que si nous pensons en toute bonne foi que l’accès, l’utilisation, la protection ou la divulgation de ces données est raisonnablement justifiée pour… »

10. Données publiées sans consentement • Chaque site qui contient du javascript d’un autre site peut envoyer des données personnelles vers cet autre site • Facebook • Twitter • Google analytics (On ne voit même pas un bouton) • xvideos.com (48), pornhub.com (67), youporn.com (80) • isohunt.com • 4chan.org

11. Pourquoi les données sont collectées • Les sociétés utilisent ces données pour • Offrir un meilleur service • Vendre des publicités ciblées • Obéir à la loi qui demande de conserver certaines données

12. Quels sont les risques avec les grandes sociétés d’Internet ? • Évaluation du risque • Risque • Activité quasi exhaustive • Identité réseau, applicative et sociale • Atténuation du risque • Modèle économique uniquement basé sur la satisfaction des internautes • Sous surveillance • Respect des lois Risque important

13. Plan • Définition d’atteinte à la vie privée • Quels risques aujourd’hui ? • Les grandes sociétés d’Internet • Votre voisin • Jusqu’où peut-on aller ?

14. Votre voisin (ou un individu) • Pas d’infrastructure dédiée • Pas d’informations privilégiées • C’est un voisin, un patron, de la famille, un criminel, etc.

15. Quels sont les risques avec les individus ? • Évaluation du risque • Risque • Pas de contrôle, identification difficile • Unique but est de porter atteinte à la vie privée • Atténuation du risque • Difficile pour un individu de collecter une activité • Difficile pour un individu d’obtenir l’identité sociale Mais c’est possible, donc risque important également

16. Contributions du projet Bluebear • On peut suivre l’intégralité de l’activité BitTorrent sans ressource dédiée • 148M d’adresses IP, 1.2M de contenus, 103 jours, 70% des sources initiales • Utiliser Tor est pire • Mais, sans l’identité sociale, difficile pour un individu d’exploiter ces informations On va montrer dans la suite que l’on peut massivement lier identité sociale et adresse IP

17. Plan • Définition d’atteinte à la vie privée • Quels risques aujourd’hui ? • Jusqu’où peut-on aller ?

18. Peut-on trouver l’adresse IP d’Homer en exploitant Skype ? ? ? ? • Étape 1 : Quel est le Skype ID d’Homer ? • Étape 2 : Peut-on trouver l’adresse IP d’Homer ? • Étape 3 : Peut-on trouver l’adresse sans être détecté ? ? Skype ID d’Homer ? Son nom est Homer Quelle est son adresse IP ? ? ? ? John doe appelle

19. Étape 1: Quel est le Skype ID d’Homer ? • 560M d’utilisateurs de Skype enregistrés • 88% donne un nom propre • 82% donne un age, un pays, une URL, etc. • On cherche Homer dans l’annuaire Skype • On supprime les dupliqués avec les informations fournies (pays, langue, etc.) • S’il y a encore des dupliqués on trouve l’adresse IP d’Homer et on regarde sa localisation • Enterprise, université, lieu public

20. Étape 2: Peut-on trouver l’adresse IP d’Homer ? • Toutes les communications sont chiffrées • Impossible d’exploiter le contenu des paquets IP • Chaque client communique avec des dizaines d’autres clients • Qui est Homer parmi 100 autres clients ? • On fait un appel VoIP vers Homer On identifie des schémas spécifiques de communication

21. Tout Internet en 2 minutes, ou presque Chiffrement • Si c’est chiffré c’est sûr ? • Non, pas totalement ! ? Entête Données

22. Tout Internet en 2 minutes, ou presque Taille Inter-arrivée Entête ? ? ? Internet B A

23. Un exemple de schéma Attaquant toujours public Homer online et derrière un NAT UDP:28B UDP:28B On trouve l’adresse IP d’Homer dans l’entête IP des messages du schéma UDP:28B UDP:3B UDP:3B

24. Quel est le problème de suivre la mobilité ? • Suivre la mobilité implique • Savoir où vous êtes • Qui vous rencontrer et où • Le suivi des interactions sociales et un énorme problème de protection de la vie privée

25. Le cas d’un utilisateur réel Nom Genre Date de naissance Langue Ville de residence Travail Photos Amis

26. Le cas d’un utilisateur réel Est-ce qu’on observe une telle mobilité pour un utilisateur quelconque ?

27. Mobilité de 10 000 utilisateurs choisis au hasard Mobility of Skype users ~40% change de ville 19% change d’ISP 4% change de pays Nombre d’endroits Utilisateurs ordonnés par nombre de déplacements

28. On peut lier adresse IP et identité sociale à grande échelle • Notre attaque fonctionne pour tous les utilisateurs de Skype (560M) • Indétectable et non blocable • Pas d’infrastructure dédiée • Mais aussi • On fait le lien entre activité BitTorrent et identité sociale • Sans le support d’un FAI

29. Conclusion • Les grandes sociétés de l’internet mais également votre voisin peuvent • Profiler massivement les internautes • Faire le lien entre identité sociale et identité réseaux • Impossible de protéger totalement sa vie privée sur Internet • Le travail des chercheurs est de rendre le profilage difficile

30. Questions ? Risques d'atteinte à la vie privée sur Internet, ou qu'est-ce que votre voisin peut savoir sur vous ? arnaud.legout@inria.fr http://planete.inria.fr/bluebear